Zum Inhalt
Copyright © 2022-2026 basebox GmbH, all rights reserved.
Licensed to be used in conjunction with basebox, only.

// sicherheit

DSGVO

Gilt für

Produkt: Cloud · Server · Zielgruppe: Sicherheits- / Compliance-Prüfer · Datenschutzbeauftragte

Rollen (Verantwortlicher/Auftragsverarbeiter) je Deployment-Modell, Verfügbarkeit eines Auftragsverarbeitungsvertrags (AVV), Datenstandort, Betroffenenrechte und wie basebox sie unterstützt. Keine Rechtsberatung – die Bewertung Ihrer Verarbeitung liegt bei Ihnen als Verantwortlichem.

Rollen je Deployment-Modell

Verantwortlicher Rolle von basebox AVV
basebox Cloud Ihre Organisation Auftragsverarbeiter – basebox betreibt die Infrastruktur, auf der Ihre Daten liegen, und hat technischen Zugriff Ja, automatisch Teil jedes Vertrags (basebox.ai/vertrag); Voraussetzung für den Produktivbetrieb (Go-live-Checkliste)
basebox Server, selbst betrieben Ihre Organisation Keine – basebox hat keinen Zugriff, es gibt keine Telemetrie; basebox verarbeitet Ihre Daten nur, wenn Sie basebox für den Support Zugriff geben Teil jedes Vertrags; relevant, sobald basebox Zugriff erhält (Fernwartung)
basebox Server, Betrieb durch basebox Ihre Organisation Auftragsverarbeiter – der Wartungszugang ermöglicht technisch Zugriff auf personenbezogene Daten Ja, Teil jedes Vertrags
basebox Server in einem von basebox betriebenen Rechenzentrum Ihre Organisation Auftragsverarbeiter, wenn basebox den Server betreibt; Rechenzentrum standardmäßig noris network AG, München Ja, Teil jedes Vertrags
basebox Cloud (Übergangsbetrieb bis November 2026) Ihre Organisation Auftragsverarbeiter, mit Hetzner und Google als Unterauftragsverarbeitern Ja (basebox.ai/vertrag); Art.-9-Daten am besten erst nach dem Umzug (Übergangsbetrieb)

Anwendungsadministration und Daten liegen in jedem Modell bei Ihnen (Geteilte Verantwortung). Welche Unterauftragsverarbeiter je Produkt beteiligt sind – für die Cloud, ihren Übergangsbetrieb und Server –, steht unter Auftragsverarbeitung & Unterauftragsverarbeiter.

Datenstandort

  • Cloud: Plattform und Sprachmodell laufen auf basebox-Servern im Rechenzentrum der noris network AG in München-Ost; die Server gehören dem Hardwarepartner FAST LTA, der sie wartet. Beide stehen auf der Liste der Unterauftragsverarbeiter. Zusätzliche Rechenleistung, etwa von STACKIT oder Mistral AI in der EU, kommt nur hinzu, wenn der Anbieter in Ihrer Liste der Unterauftragsverarbeiter steht. Die Sicherungen liegen in einem zweiten Rechenzentrum in Deutschland. basebox GmbH hat ihren Sitz in Deutschland und unterliegt nicht dem US Cloud Act (Infrastruktur).
  • Cloud im Übergangsbetrieb bis November 2026: bis zum Umzug in einer gemeinsamen Umgebung bei Hetzner in Nürnberg, logisch getrennt, mit KI-Modellen von Google Vertex in Frankfurt. Gesundheitsdaten und andere besondere Kategorien (Art. 9) verarbeiten Sie am besten erst nach dem Umzug (Auftragsverarbeitung).
  • Server: Ihr Haus oder ein von basebox betriebenes Rechenzentrum (Standard: noris network AG, München) – der Server gehört genau einem Kunden, die Daten liegen dort und nur dort.
  • Externe Dienste: Websuche-Anfragen gehen an Staan.ai in der EU, nur der Suchbegriff, ohne Identität und IP-Adresse der Person; basebox hat mit Staan einen AVV, ein Training ist ausgeschlossen. Konnektoren erreichen Ihre eigenen Systeme. Beides ist standardmäßig aus und Ihre Entscheidung (Externe Dienste).
  • App mit externem Modell (optional): Ab Werk gibt es keine; ob Sie eine wollen, entscheiden Sie, und Ihr Administrator richtet sie ein und gibt sie nur für ausgewählte Gruppen frei. Anfragen gehen an Google Vertex in der EU, auf Wunsch an OpenAI (Verarbeitung auch in den USA möglich). Google und OpenAI sind dann Unterauftragsverarbeiter und trainieren nicht mit den Eingaben; Google protokolliert sie zur Missbrauchserkennung längstens 30 Tage, OpenAI bis zu 30 Tage. Als US-Unternehmen unterliegen beide dem US Cloud Act, ein Zugriff aus einem Drittland lässt sich nicht ausschließen (Modellanbieter).
  • Cloud und Server: keine Drittlandübermittlung durch die Architektur; ein Drittlandbezug entsteht nur, wenn Sie die App mit externem Modell nutzen oder einen externen Dienst außerhalb der EU aktivieren. Für den Übergangsbetrieb gilt bis zum Umzug: Die KI-Modelle laufen bei Google Vertex in Frankfurt; für Google gilt als US-Unternehmen der US Cloud Act.

Welche Daten verarbeitet werden

Kategorie Beispiele Wo
Stammdaten der Nutzer Name, E-Mail, Rolle, Gruppen Anwendungs- und Identitätsdatenbank
Nutzungsdaten Anmeldungen, Aktionen, Client-Adressen, Werkzeugaufrufe Audit-Log
Inhaltsdaten Uploads, Wissensbasis-Dokumente, Embeddings – je nachdem, was Nutzer eingeben, potenziell besondere Kategorien (Art. 9) Datenbanken, Medien-Volume
Chatverlauf Unterhaltungen der Nutzer Lokal im Browser des Nutzers, nicht auf dem Server
Gesprächsinhalte im Audit-Log Nur auf Audit Log Level „Hoch“, mit Hinweis im Chat Audit-Log
Zugangsdaten Konnektor-Zugangsdaten je Nutzer (nur schreibend), Passwort-Hashes lokaler Konten Anwendungs- und Identitätsdatenbank

Vollständig: Speicherung. Ob besondere Kategorien verarbeitet werden, hängt von Ihrer Nutzung ab – bei Patientendaten ist eine Datenschutz-Folgenabschätzung in der Regel angezeigt.

Betroffenenrechte

Recht Wie basebox unterstützt Was bei Ihnen liegt
Auskunft (Art. 15) Benutzerverwaltung zeigt Stammdaten; Audit-Export liefert Nutzungsdaten je Nutzer; Nutzer sehen ihre Chats selbst Zusammenstellung und Antwort
Berichtigung (Art. 16) Stammdaten in der Benutzerverwaltung bzw. im Verzeichnis (LDAP/SSO) Durchführung
Löschung (Art. 17) Konto löschen, Dokumente entfernen; Chats liegen im Browser des Nutzers. Audit-Einträge sind nicht einzeln löschbar Prozess nach Löschung; Backup-Rotation einrechnen
Einschränkung (Art. 18) Konto deaktivieren Entscheidung
Datenübertragbarkeit (Art. 20) Chat-Export durch den Nutzer (Chats sichern); Audit-Export CSV Format und Übergabe
Widerspruch (Art. 21) – Bewertung

Technische und organisatorische Maßnahmen

Die TOMs, die Sie in Ihrem Verzeichnis oder AVV-Anhang beschreiben können, mit Verweis:

  • Zugriffskontrolle: Rollen Administrator/Nutzer, Gruppen, OIDC/LDAP, API-Schlüssel (Rollen & Berechtigungen)
  • Mandantentrennung: Cloud isolierte Umgebung je Organisation (Isolierung); Server gehört genau einem Kunden
  • Transportverschlüsselung: HTTPS von außen, TLS über Host- und Zonengrenzen, innerhalb des Clusters ein privates Netz ohne eigene Verschlüsselung; Speicherverschlüsselung über verschlüsselte Datenträger (Verschlüsselung)
  • Protokollierung: Audit-Log mit Audit Log Level „Standard“ oder „Hoch“ und Aufbewahrung von 6 Monaten (vom Administrator auf 3–36 Monate einstellbar); Hinweis im Chat (Audit & Logging)
  • Datenminimierung: Websuche ohne Nutzeridentität, Audit ohne Anfragetext, Prompt-Logging standardmäßig aus
  • Löschbarkeit: durch Nutzer und Administratoren (Löschung)
  • Verfügbarkeit: Backups, in der Cloud täglich und 7 Tage aufbewahrt (Backup · Backup & Wiederherstellung); eine Mindestverfügbarkeit sagt basebox nicht zu
  • Auftragskontrolle: Wartungszugang zeitlich begrenzt, freigegeben, protokolliert (Fernwartung)
  • Sichere Entwicklung: Sicherheitstests vor Release, Vier-Augen-Prinzip (Infrastruktur-Richtlinie)

Nicht umgesetzt: keine Verschlüsselung im Ruhezustand durch die Anwendung; Image-Signaturen in Vorbereitung.

Vorfälle

Verletzungen des Schutzes personenbezogener Daten meldet basebox unverzüglich nach Bekanntwerden (Art. 33 Abs. 2 DSGVO); über andere sicherheitsrelevante Vorfälle informiert basebox betroffene Kunden ebenfalls unverzüglich (Compliance-Dokument); die Meldung an Aufsichtsbehörden und Betroffene nach Art. 33/34 liegt beim Verantwortlichen. Datenschutzfragen an basebox: datenschutz@basebox.ai; Sicherheitslücken: security@basebox.ai.

Für die Prüfung

Nächster Schritt: Auftragsverarbeitung & Unterauftragsverarbeiter · ISO 27001